🇰🇷 한글 설명
Social Login, Passkeys, Magic Link & Email OTP WordPress 플러그인 1.4.1 미만 버전에서 이메일 OTP 인증 시 속도 제한이나 시도 횟수 제한이 적용되지 않습니다. 또한 짧은 숫자 코드가 평문으로 저장되어 있어, 공격자가 등록된 이메일 주소를 알고 있다면 무차별 대입 공격을 통해 관리자 계정을 탈취하고 사이트 전체를 장악할 수 있습니다.
💡 쉬운 설명
로그인할 때 이메일로 받는 숫자 번호를 맞추는 과정에 제한이 없어, 공격자가 번호를 무작위로 계속 입력해 맞출 수 있습니다. 이를 통해 관리자 권한을 뺏어 웹사이트를 완전히 통제할 수 있는 위험한 보안 결함입니다.
🇺🇸 원문 (English)
The Social Login, Passkeys, Magic Link & Email OTP WordPress plugin before 1.4.1 does not enforce rate limiting or a working attempt lockout on its passwordless email one-time-password verification, and stores the short numeric codes in plaintext, allowing an unauthenticated attacker who knows a registered email address to brute-force the code and log in as that user, including an administrator, leading to full site takeover.
📍 영향받는 시스템
Social Login, Passkeys, Magic Link & Email OTP WordPress plugin version < 1.4.1
⚔️ 공격 벡터
등록된 이메일 주소를 대상으로 한 OTP 숫자 코드 무차별 대입 공격 (Brute-force)
🛡️ 대응 방법
해당 플러그인을 최신 버전(1.4.1 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 플러그인 버전이 1.4.1 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'social-login-passkeys-magic-link-email-otp'